Изтеклите данни от НАП са под 1% от тези, до които е имало достъп

За престъплението бяха привлечени трима обвиняеми от компанията за киберсигурност "ТАД груп" - служителят Кристиян Бойков, директорът Георги Янков и собственикът Иван Тодоров. Тримата са с по две обвинения - за участие в организирана престъпна група и за тероризъм. Вследствие на теча Комисията за защита на личните данни (КЗЛД) обяви 5.1 млн. лв. глоба за НАП. Агенцията обжалва санкцията, която оценява личните данни на българските граждани на малко над 1 лв. "на глава", но в защита на КЗЛД това е максималната възможна глоба според текущия закон.

Оттогава насам от НАП са добавили няколко допълнителни слоя киберзащита на системата си. Агенцията е създала и по-стриктни правила за достъп до защитната стена на информационната система.

Колко неподготвени сме всъщност

Докладът може да се разглежда и като дълъг текст, обясняващ колко неподготвена всъщност е държавната администрация за кибератаки. Показателно е, че течът от НАП се случи след сравнително прост пробив (т.нар. SQL Injection), докато по света има много по-сложни технологии за разбиване на системи. За първите осем месеца на 2019 г. е имало общо 54 инцидента с киберсигурността в държавната администрация, 10% от общия брой в страната.

Според данните в доклада в българската държавна администрация в момента има 5009 системи за общо 495 администрации, но само за 69% от тях е "осигурена техническа поддръжка, гарантираща работоспособност".

Другата информация също е обезпокоителна. Според проверка на Държавната агенция електронно управление (ДАЕУ) "част от администрацията има непълна информация за софтуера, който използва"; "използва се софтуер без поддръжка от производителя"; "липсват вътрешни правила за докладване на инциденти и план за действие"; "не се актуализира софтуерът и рядко се наблюдава трафикът"; "има слабости по отношение на антивирусния софтуер".

ДАЕУ посочва също, че щатът на софтуерните специалисти в държавната администрация остава незапълнен. Причината е в ниското заплащане спрямо частните IT компании в страната, които държат летвата високо. В това отношение е и една от препоръките за промяна: вдигане на горната граница за заплатите на компютърните специалисти.

Констатациите на КЗЛД са подобни. "НАП са приоритизирали обслужването на физически лица чрез електронни услуги за сметка на защитата на личните данни", пишат представители на комисията.

Сега накъде

В доклада се посочва още, че "през последните 20 години системите на държавната администрация са били изграждани поетапно като самостоятелни системи, удовлетворяващи функциите на съответната администрация" и съответно има нужда от унифициран подход. Това е основният аргумент, който правителството използва, за да направи фирмата "Информационно обслужване" единствен системен интегратор за общо 27 държавни институции в края на миналата година, включително и Министерството на финансите и НАП.

Повечето препоръки на комисията са сравнително стандартни: одит на всички централни и общински администрации, добавка на клауза за носене на отговорност на изпълнителите, задължителни обучения сред институциите и допълнителни изисквания за конфигурация на специализиран софтуер.

Другите предложения са свързани с по-тежки наказания за киберпрестъпления в НК и нова дефиниция за "компютърни престъпления". Вероятно именно заради леките наказания за киберпрестъпления, които законът предвижда към момента (от една до три години затвор), прокуратурата реши да обвини представителите на "ТАД груп" в тероризъм.